phpMyAdmin setup.php 任意 PHP 程式碼執行 (PMASA-2010-4)
high Nessus Plugin ID 48908
語系：
概要
遠端 Web 伺服器包含一個可能會讓任意程式碼執行的 PHP 應用程式。說明
遠端主機上安裝的 phpMyAdmin 版本內含的設定指令碼，在用它產生應用程式設定檔前未適當清除使用者提供的輸入內容。提交特製的 POST 要求可能導致插入任意 PHP 程式碼。遠端攻擊者可惡意利用此問題，使用設定指令碼產生含有已插入 PHP 程式碼之設定檔，再將其儲存在伺服器上並加以載入，進而造成以 Web 伺服器權限執行任意 PHP 程式碼。
解決方案
請升級至 phpMyAdmin 2.11.10.1 或更新版本。另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 48908
檔案名稱: phpmyadmin_pmasa_2010_4.nasl
版本: 1.14
類型: remote
系列: CGI abuses
已發布: 2010/8/27
已更新: 2022/4/11
組態: 啟用徹底檢查
支援的感應器: Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.6
CVSS v2
風險因素: High
基本分數: 7.5
時間分數: 5.5
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
弱點資訊
CPE: cpe:/a:phpmyadmin:phpmyadmin
必要的 KB 項目: www/PHP, www/phpMyAdmin
排除在外的 KB 項目: Settings/disable_cgi_scanning
可輕鬆利用: No exploit is required
由 Nessus 利用: true
修補程式發佈日期: 2010/8/20
弱點發布日期: 2010/8/15
參考資訊
CVE: CVE-2010-3055
BID: 42591
SECUNIA: 41058